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SL (Secure Sockets Layer) est un protocole utilisé pour chiffer et authentifier les données 
envoyées entre une application (comme votre navigateur) et un serveur web. 


1€ avantage de SSL est le chiffrement. Chaque fois que vous entrez des informations sur 
votre site web, ces données seront sécurisés pour assurer une protection point à point. 


2°" avantage est l’intégrité des données pendant le transport. Ceci garantit que les 
données qui sont envoyées sont reçues sans aucune modification ou altération malveillante. 


3°"e avantage est l’authentification. Une connexion SSL en bon état de fonctionnement 
garantit que les données sont envoyées et reçues par le bon serveur, plutôt que par un 


« homme au milieu » malveillant. Il empêche les acteurs malveillants de se faire passer pour 


e . 
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un site à tort. 








2- LES CERTIFICATS SSL (X-509) 


* Le protocole SSL utilise le chiffrement asymétrique (qui est basé sur une paire de clés 
privée et publique) pour chiffrer et signer les données. 


° L'administrateur du serveur Web doit générer ces deux cles sous forme des fichiers: 
° Un 1 fichier caché qui contient la clé privée. 


+ Un 2°" fichier texte codé par cette clé privée et qui comprend la clé publique et 
d'autres informations (comme le nom du site web , organisation, adresse e-mail, etc.). 
Ce fichier consiste d’une demande qui sera envoyé à une Autorité de certification. 


* Une Autorité de certification, est une entreprise ou une organisation qui agit pour valider 
l'identité des entités (telles que les sites Web, les adresses e-mail, les entreprises ou les 
particuliers) et les lier à des clés cryptographiques par la publication de documents 
électroniques appelés certificats numériques X-509. 


° Une fois le certificat est approuvé, il est envoyé au serveur Web pour l'utiliser sur le site 
web. 





2- LES CERTIFICATS SSL 


° Chaque serveur web sur Internet qui utilise HTTPS doit avoir une certificat électronique 
SSL fournie par une autorité de certificat approuvée sur Internet, exemple: 


© Entrust : /\ Tr L S[wWave L t' En t 
pie 51 a o Smart security on demand KA es SP 
& G e]D, addy : à Geotrust 4 (Dthawte (E Vi Symantec. Ÿ Rapid 
k D, 191C ert , Odigicert Ç D‘ ‘@) GlobalSign, ®'GoDaddy © COMODO 


° Geotrust. 
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* Chaque certificat délivré à un serveur Web, doit contenir les informations suivantes: 
* le nom et le pays du propriétaire du certificat; 


* sa date de validité; 
+ le système cryptographique associé; 
* la clé publique associée; 


* la signature de l'autorité de certification, qui doit garantir à la fois la justesse des 
informations du certificat, et leur origine. 





2- LES CERTIFICATS SSL 


* Exemple d'un certificat électronique X-509 (SLL) utilisé sur le site HTTPS de la banque TD: 


À https://www.td.comfca/fr/services-bancaires-personniM a Certificat Certificat 


LE 


Fs 


rat | Général Détails Chemin d'accès de certification Général Détails Chemin d'accès de certification 


Général Détails Chemin d'accès de certification Afficher : <Tout> Chemin d'accès de certification 


] DigiCert 








Champ Valeur 


PR Algorithme de hachage…. sha256 


Emetteur Entrust Certification Auth.… 


se | ee a Valide à partir du 25 juin 2020 16:19:50 
* Garantit votre identité auprès d'un ordinateur distant D ET LE-10-40 
* Garantit l'identité d'un ordinateur distant Valide jusqu'au 23 juin 2021 16:19:49 
° 2,16.840.1.114412.2.1 authentication.td.com, 12... 
* 2.23.140.1.1 E Clé publique RSA (2048 Bits) 


Paramètres de clé publi 05 00 


Ce certificat est conçu pour les rôles suivants : 


A | Utilisation avancée de |... Authentification du serve. 


Délruré à : td.com ei 97 76 47 Ld 


LC? Sb 81 63 63 
es 40 47 di ic 
: . SE | | 01 bd Sd dé bc 
Délivré par DigiCert SHAZ Extended Validation Server CA 08 df b9 19 be 
dé 19 82 Le 77 
ÉA cé 47 da 14 
e du 2019-05-1 u 2021-01-11 ‘a 06 bS 66 31 - | 
Valide du 2019-05-14 au 2021-01-11 A État du certificat - 
fe a ba d2 68 
ee 34 17 a 29 Ce certificat est valide. 


Copier dans un fichier. 





3.1- ÉTAPES DE LA CONNEXION SSL - 
AUTHENTIFICATION DU SERVEUR 


Amazon.ca: Low Prices — Fast Sh: X -- . . 
[1 | Google chrome envoie une demande de connexion au serveur amazon.ca 
a 


© Applications [] TD © Jard REC @ Cu © M4 @ PDA D Cer 


amazons over . Serveur Amazon envoie son certificat SSL qui contient sa clé publique - 
prime OCT H7X 158 … e , 7 ee 4 e 4 Serveur 
et son empreinte (créé par SHA-256 en utilisant sa clé privé). 


— All Best Sellers Prime +  Antoine's Store Registry Deals Store Amazon 






















a Certificat 


= Général Détails Chemin d'accès de certification 
a Certificat 


Général Détails Chemin d'accès de certification 


f, Informations sur le certificat 
Chemin d'accès de certification 


Ce certificat est conçu pour les rôles suivants : 
ln * Garantit votre identité auprès d'un ordinateur distant MIIEPAIBAAKCAQEAmbvtPODy32rRJZYRQ 
+ Garantit l'identité d'un ordinateur distant n/ Far7 rXannezjVOMyPm38zCEc k]e50o 
° 2.16.840.1.114412.1.1 k 
+ 2.23. 140.1 2.2 | |25EPeobvf2nA38C73j/gEbPhRFOaP6F1J7G 
Phbonzn92C8nigfhls4ytXHU@HeJH7IU 
ioNtEoZ88LpQ@L9jRjnfmc1jqfLiT)j4Tk 
FU8pdk@aJBtOUgIp5GzbtUyMg@11a2C 
13+W)wWUhHNENUFWROrYZH97VRmYAK8cLr 
FYUy2TV240qxBewSJdEjThnsjiBAFP1 
rDsdDa/8J3PFz@yXFUyYTx2FTrdgzSbcEts 
cute le ont xX5M890HrJk52Cb2TV8B7Mz j3n9aw5k 
SHId@q6TK1HCVUEimt8@r7/7/8iA 








* Consultez la déclaration de l'autorité de certification pour p 





Délivré à : www.amazon.ca 











Afficher le certificat 
ficher le certifica Valide du 2020-07-12 au 2021-06-21 


État du certificat : | Clé privée reste 


Ce certificat est valide. 
Clé publique 


stockée dans 
le certificat SSL 


caché sur le 
serveur 





Le client vérifie le certificat auprès de Tr ; Autorité de 
l'autorité de certification mentionné dans le D certification 


certificat du serveur. Ex: DigiCert Global. 


3.2- ÉTAPES DE LA CONNEXION SSL - 
INTÉGRITÉ DES DONNÉES 


Amazon.ca: Low Prices — Fast Sh! X == 


œ o[éamma | 


a Certificat 
© Applications [] TD © Jard TB REC @ Cu © M4 @ PDA D Cer 


Général Détails Chemin d'accès de certification 
sk re Laval H7X 158 
prime 


ê, Informations sur le certificat 
— Al Best Sellers Prime +  Antoine's Store Registry Deals Store 





Serveur 


Amazon 
Ce certificat est conçu pour les rôles suivants : 


- Garantit votre identité auprès d'un ordinateur distant 


Google chrome fait le même calcul de hachage, en utilisant la clé publique - Garanti l'identité d'un ordinateur distant 


° 2.16.840.1.114412.1.1 


du serveur, génère une nouvelle empreinte et la compare avec celle du "2710127 


serveur pour s'assurer que les données n'étaient pas modifiés par un tiers 
en transit. 


* Consultez la déclaration de l'autorité de certification pour p 


Délivré à : www.amazon.ca 


MIIEPAIBAAKCAQEAmbvtPODy32rRJZYRQ 
n/Fqr7rXanneZjVOMyPm38zCEck]Je5o 
Délivré par DigiCert Global CA G2 25EPeobvf2nA38C7)j/gEbPhRFOaP6F17G 
S] Certificat Phbonzn92C8nigfhls4ytXHU@HeJH7IU 
pr | : _ Valide du 2020-07-12 au 2021-06-21 ioNtEoZ88LpQOL9jRjnfme1jgqfLiTjaTk 
Général Détails Chemin d'accès de certification Général Détails Chemin d'accès de certification FU8p dk@a]JBtOU eIp5GzbtUyMgO1 Ia2C 

13+W)wWUhHNENUFWROrYZH97VRmYAK8cLr 
EMidier: FYUy2TV240qxBewSJdE jThnsjiBAFP1 
re — =. | Clé pu bli que rDsdDa/8 PFZOyXFUYTx2FTrdgzSbc Ets 
[HJAlgorithme de signature sha256RSA blUtilisation avancée de 1... Authentification du serve. xX5M890Hr Jk52Cb2TV8B7Mz33n9aw5k 
[SJAlgorithme de hachage… sha256 


LA . . 
! &]Points de distribution d.. [1]Point de distribution d.….. StOC ké e a ans SHIdO@q6TK1HCVuEimt8or7/8iA 
[SJémetteur DigiCert Global CA G2, Di... k;|Stratégies de certificat  [1]Stratégie du certificat … 
[=]|Valide à partir du 12 juillet 2020 19:00:00 


k;\ Accès aux informations. [1]Accès aux information. | e ce rt | fi cat SS L 
Elvalide ai ue Se rentre k;]Contraintes de base Type d'objet=Entité finale. | 
E Objet Www.amazon.ca, AMazO…. 


# e # 
Clé privée reste 
b|Liste de SCT vi, f65c942fd1773022145... 7 
f:|Utilisation de la clé Signature numérique, Chi. Ca C h € S (8, r | € 
Lraramètres de dé pub. 05 00 
nn a a . serveur 


8e e e ? e LÀ 
19853a866699736e811009d5dd45902d47eas57b2 SI le certificat est reconnu par | autorite de 
certification. 





a Certificat 


Afficher : <Tout> 
































V 


Autorité de 
certification 


Modifier les propriétés. Copier dans un fichier. 





3.3- ÉTAPES DE LA CONNEXION SSL - 





amazon.:: 
LL 


Sign-In 
user@yahoo.ca Change 


Password Forgot Password 





Keep me signed in. Details 7 


Conditions of Use Privacy Notice Help 


© 2008-2020, Amazon.com, Inc. or its affiliates 


CHIFFREMENT 


Google chrome utilise la clé publique du serveur, 
pour chiffrer les données envoyés au serveur. 


a Certificat 


Général Détails Chemin d'accès de certification 


Afficher : <Tout> 





Champ Valeur 
[| Algorithme de signature  sha256RSA 
[]Algorithme de hachage.. sha256 
[émetteur DigiCert Global CA G2, Di... 
[]Valide à partir du 12 juillet 2020 19:00:00 
[]Valide jusqu'au 21 juin 2021 07:00:00 
[:)objet Www.amazon.ca, AMazO. 
Clé publique RSA (2048 Bits) 
[=|Paramètres de clé publi 05 00 


























30 82 01 0a 02 82 01 01 00 d3 72 28 b7 ab e3 ab 
12 Oc a4 1f Oc 
54 cé 6d de 47 


08 02 77 88 84 
3d de 4a dû cb 
bc 15 70 Sc 02 
10 23 11 6a 07 
fa be 6e da f9 80 53 ac 67 ©c9 22 50 ce 8b 2c b0 né 


Modifier les propriétés. Copier dans un fichier. 


Le serveur reçoit les données et les déchiffre 
en utilisant sa clé privée. 


La connexion entre le 
client et serveur reste 
sécurisée en tout temps. 


Man-Iin-the-Middle 


Serveur 
Amazon 


MIIEPAIBAAKCAQEAmbvtPODy32rRJZYRQ 
n/Fqr7rXanneZjVOMyPm38zCEck]Je5o 
25EPeobvf2n4A38C7j/gEbPhRFOaP6F37G 
Phbonzn92C8nigfhls4ytXHU@HeJH7IU 
ioNtEoZ88LpQ@L9jRjnfmc1jqfLiT)j4Tk 
FU8pdk@aJBtOUgIp5GzbtUyMg@11a2C 
13+W)jwUuhHNENUFWROrYZH97VRmYAK8cLr 
FYUy2TV240qxBewSJdEjThnsjiBAFP1 
rDsdDa/8J3PFz@yXFUyYTx2FTrdgzSbcEts 
XX5M890Hr]Jk52Cb2TV8B7Mz)j3n9aw5k 
SHId@q6TK1HCVUEimt8@r7/8iA 


Clé privée reste 
caché sur le 
serveur 





4- MAGASIN DE CERTIFICAT - WINDOWS 10 


* Tous les systèmes d'exploitation vient avec une base de données de tous les 


* Vous pouvez utilisez l’outil de Windows 10 


pour afficher ces certificats. 


a Consolel - [Racine de la console\Certificats (ordinateur local)\Autorités de certification racines de confiance\Certificats] 


a Fichier Action Affichage Favoris 


» A Er 


…_ | Racine de la console 


v Ch Certificats (ordinateur local) 


| Personnel 


+ | | Autorités de certification racines de confiance 


1 Certificats 
= | Confiance de l'entreprise 


__| Autorités de certification intermédiaires 


| Éditeurs approuvés 
… | Certificats non autorisés 


- | Autorités de certification racine tierce partie 


Fe Personnes autorisées 


SRRCREUR ? Ro: 


Délivré à 

Lel AAA Certificate Services 
LelActalis Authentication Root CA 
LelAddTrust External CA Root 


el Altus Local dient Certificate Aut.. 


Le] Baltimore CyberTrust Root 
LelCA-Interne 

Lel Certum CA 

cel Certum Trusted Network CA 


celClass 3 Public Primary Certificat... 


Délivré par 

AAA Certificate Services 

Actalis Authentication Root CA 
AddTrust External CA Root 


Altus Local dient Certificate Author... 


Baltimore CyberTrust Root 
CA-Interne 

Certum CA 

Certum Trusted Network CA 


Class 3 Public Primary Certification … 


Date d'expirati.. 
2028-12-31 
2030-09-22 
2020-05-30 
2040-03-09 
2025-05-12 
2030-07-14 
2027-06-11 
2029-12-31 
2028-08-01 
2038-01-18 


Rôles prévus 
Authentification du 
Authentification du 
Authentification du 
<Jout> 
Authentification du 
<Tout> 
Authentification du 
Authentification du 
Authentification du 


Authentification du 


el COMODO RSA Certification Aut….  COMODO RSA Certification Autho.. 
| Racines de version d'évaluation Le) Copyright (c) 1997 Microsoft Corp. Copyright (c) 1997 Microsoft Corp. 1999-12-30 
_ ] Racines de test Le] DigiCert Assured ID Root CA DigiCert Assured ID Root CA 2031-11-09 


AA) )1nKken = ho er NnDALKOO d ho er! nnAalLKOO A Aurtnen ation oO 


__| Émetteurs d'authentification de dlient 
Enregistrement des 


Authentification du 








5- CRÉATION DES CERTIFICATS SSL AUTONOME 


* Vous pouvez créer votre propre certificat SSL, sans utiliser un autorité de certification. 


* Une fois créé, vous pouvez l'utiliser pour chiffrer et signer des données. 


* _ Pour le faire, vous devez générer un jeu de clés ES et uPrque. ainsi qu'un certificat 55L 


contenant la clé publique. 


* Il existe de nombreux moyens de 
générer ces paires de clé publique et 
privée, mais l'outil OpenSSL reste l'un 
des plus populaires. 


* OpenSsSL utilise l’algorithme RSA pour 
générer la clé privee, puis à partir de 
cette clé, 1l créé un certificat qui 
contient la clé publique. 


° Voir Lab 10 - Création des certificats 
SNS FR 








ÉR'EEE AUCH 


OpenSSL> req -new -x509 -days 1826 -key private.key -out tohme.cert 

You are about to be asked to enter information that will be incorporated 
into your certificate request. 

What vou are about to enter 15 what 1s called a Distinguished Name or a DN. 
There are quite a few fields but you can leave some blank 

For some fields there will be à default value, 

If you enter ‘".", the field will be left blank. 


a Certificate 


General Details Certification Path 
Show:  <AÏ> 


Field Value 

Signature hash alg.. sha256 
Issuer Let's Encrypt Authority X3, Let's Encrypt, US 
Valid from Monday, April 27, 2020 11:36:05 PM 
Valid to Sunday, July 26, 2020 11:36:05 PM 
Subject 
Public key RSA (2048 Bits) 

TEYPublic Key parame... O5 OÙ 





6- VPN (VIRTUAL PRIVATE NETWORK) 


° Les VPN (Virtual Private Network) sont des réseaux virtuels privés qui permettent la 
connexion 


* C'est à dire que les données qui transitent par ce tunnel sont chiffrées afin notamment 
de protéger contre les attaques 


* L'exemple type est une connexion VPN entre un télétravailleur et l'intranet de son 
entreprise. 


_ din 
nn, AC 


Utilisateur Distant 


Réseau de Transit Intranet de l'entrepnse 
(le plus souvent Internet) 








8- LES FONCTIONNALITÉS DU VPN 





° Un système de VPN sécurisé doit pouvoir mettre en œuvre les fonctionnalités 
suivantes : 


* Authentification d'utilisateur : Seuls les utilisateurs autorisés doivent pouvoir 
s'identifier sur le réseau virtuel. 


* Gestion d'adresses : Chaque client sur le réseau dispose d’une adresse IP privée 
et confidentielle. 


* Cryptage des données : Lors de leur transport sur le réseau public les données 
doivent être protégées par un cryptage efficace. 


* Gestion de clés : Les clés de cryptage pour le client et le serveur doivent pouvoir 
être générées et régénérées. 





7- LES ÉLÉMENTS DU VPN 





* Dans le cas d’une connexion VPN d'accès distant, plusieurs éléments sont nécessaires : 


* Le serveur VPN : situé dans l’entreprise, qui accepte les connexions VPN des clients. 


* Le client VPN : distant, qui se connecte au serveur VPN. 


* Le tunnel : la connexion dans laquelle les données sont chiffrées. 


9 ÿ € 


Serveur Entreprise/ 
VPN Collège 





Client VPN 





7.1- LES ÉLÉMENTS DU VPN - SERVEUR VPN 





° Un serveur VPN peut être un équipement matériel (Hardware) comme un routeur ou un 
pare-feu. https://www.virtuallocation.com/vpn/vpn-hardware.html 











* Il peut aussi être un logiciel (software) installé sur un serveur. 


* Microsoît, UNIX, AS400 et Linux permettent d'utiliser des services VPN. 


OpenVPN (Linux/Windows) Openswan 
OpenSWAN (Linux) 


tinc 


Tinc (Linux) 








7.2- LES ÉLÉMENTS DU VPN - CLIENT VPN 


+ Quelque soit le serveur est matériel ou logiciel, le client est toujours un logiciel installé 
sur l’ordinateur de l'utilisateur. 


* [Ilexiste de multiples clients, comme par exemple Cisco AnyConnect et OpenVPN. 





OpenVPN GUI 





° À l'installation du client, une carte réseau virtuelle 
est créée. 


& > Panneau de configuration > Tous les Panneaux de configuration > 


ps — Heu en =, 
LITOanmiIser 


+ Cette carte réseau reçoit une adresse IP envoyée par 


k . . Cisco Anyéonnect $ecure Mobility À Connexion au réseau loca 
le serveur VPN, quand la connexion est établie. SP. Client Connection | S., Connexion au réseau local 4 


FF | 





* Exemple: Connectez-vous avec OpenVPN du collège 
puis exécutez ipgonfig /all 





7.3- LES ÉLÉMENTS DU VPN - 


* Pour créer ce tunnel sécurisé, le client utilise le pour initier la connexion 
(Authentification avec SHA-256) et sécurisé les données (Chiffrement avec AES-256). 


Nom Statut Modifié le Type 


Q vpn-UDP4-1194.ovpn 2020-11-11 17:10 OpenVPN Config F... an Certificat 


a) vpn-UDP4-1194-ca.crt | vpn-UDP4-1194.ovpn - Bloc-notes 


Général tail mn d'arrà ficati 
| vpn-UDP4-1194-tis.key Fichier Edition Format Affichage Aide Détails Chemin d'accès de certification 


DpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on dev tun 
64bit . 
Sun Nov 15 11:03:16 2020 library versions: OpenSSL 1.1.1f 31 Mar 2020, LZO 2.10 persist-tun 
Sun Nov 15 11:03:18 2020 TCP/UDP: Preserving recently used remote address: [AF_INET]206.167.2441:1194 
Sun Nov 15 11:03:18 2020 UDPv4 link local (bound): [AF_INET][undef]:0 cipher AES-256-CBC CROP OR SN OS 
Sun Nov 15 11:03:18 2020 UDPv4 link remote: [AF_INET]206.167.2441:1194 nenscivhers AES-128-GCN Vous ne pouvez pas faire confiance à ce certificat 
Sun Nov 15 11:03:18 2020 [VPNServer_Cert] Peer Connection Initiated with [AF_INET]206.167.24.41:1194 P P racine de l'autorité de certification. Pour activer la 
Sun Nov 15 11:03:20 2020 open_tun | auth SHA256 confiance, installez ce certificat dans le magasin 
Sun Nov 15 11:03:20 2020 TAP-WIN32 device [Connexion au réseau local] opened: \\\Global\{027D072D-6C0F-4D04-91 +t1ls-client d'autorités de certification de la racine de confiance. 
Sun Nov 15 11:03:20 2020 Set TAP-Windows TUN subnet mode network/local/netmask = 10.64.30 0/10.64.30.2/255.255 2 client 
Sun Nov 15 11:03:20 2020 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.64.30.2/255.255.254 0 on interfac :  … 
Sun Nov 15 11:03:20 2020 Successful ARP Flush on interface [58] {027D072D-6C0F-4D04-91C6-E7BD3AE61636} resolv-ret ry infinite 


remote vpn.428.cmontmorency.qc.ca 1194 udp4 


DO Informations sur le certificat 


-user-pass 
ca vpn-UDP4-1194-ca.crt 
tls-auth vpn-UDP4-1194-t1s.ke 


remote-cert-tls server Délivré par internal-ca 
Bytes in: 4166 (4.1 KiB) out 6624 (6.5 KiB) OpenVPN GUI 11.15.0.0/24.9 auth-nocache 


Délivré à: internal 


Déconnecter Reconnecter Fermer Valide du 2020-06-02 au 2030-05-31 


907 ++ 


électionné 287 octet(s) Disponibl 


Ln 1, Col 1 100% Unix (LF) 
Installer un certificat. 











8- FOURNISSEURS DE VPN "GRAND PUBLIC” 


* Il existe des services VPN grands publics (NordVPN, ExpressVPN, CyberGhost, Proton VPN, ….). 


* Ces derniers misent sur la sécurité et l'anonymisation pour vendre des solutions clés en main. 


° L'internaute s'inscrit et paye un abonnement à un fournisseur VPN. 
* Ensuite il installe le client sur son ordinateur ou smartphone Android/IOs. 
* Puis il authentification avec son compte. 


° À partir de là, il choisit les serveurs disponibles auxquels se connecter. Généralement, on choisit le 
serveur selon la localisation géographique. 


* La connexion au serveur s'établit et tout le trafic internet passe alors par le VPN. 


* Les services internet voient alors l'IP du serveur VPN et plus celle la connexion internet et du 
fournisseur d'accés. 


Le mes \ DR ldatatale se) jt | =  — 

IQ06e Qes y  QranQs OQUDIICS EST OCONC 0e 

m D ll Meur CE ReLS, = 4 Le ce | cl br =" Lt nn EL ER al LE Lt 
Le 


4 FR = À PNR LR NENEET He VERRE CERN LEZ ER 
1 | 1 LA ur gl ir UE tr voire [ra Fr mir ml É 
L"i | À al Li LR F [ Le Li | [ | (] _ | LA] 21 F LL} LE ur L ci "| L'is | À ur 08 Len PS 


E ps ER JE =] | LE PT ST nn A al j TE TT TT REF us FA al PR EE PE D pr. ce I 
ert donc d'intermédiaire DOUr SE CONNECIET AUX SETVICES INÈTME 
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